Paskyros perėmimas ir duomenų saugumo pažeidimai

1 modulis: Kodėl Jūs esate taikinys · Skaitymo trukmė: 10 min.

Mokymosi tikslas: Po šios pamokos galėsite paaiškinti, kaip pakartotinai naudojami pavogti prisijungimo duomenys ir kas nutinka su nutekėjusiais duomenimis.
Pagrindinės sąvokos: paskyros perėmimas, credential stuffing, infostealer, sesijos slapukas, duomenų saugumo pažeidimas, asmens duomenys, combolist sąrašas

Prisijungimas vietoj įsilaužimo

Paprasčiausias būdas patekti į sistemą nėra ieškoti spragos, o tiesiog prisijungti. Tas, kas turi Jūsų el. pašto adresą ir slaptažodį, nieko neturi įsilaužti. Sistemai jis tiesiog yra Jūs. Tai vadinama paskyros perėmimu: kažkas kitas perima paskyrą ir ją naudoja taip, lyg būtų jos savininkas.

Mažai įmonei svarbiausia paskyra yra pašto dėžutė. Tas, kas turi prieigą prie Jūsų pašto dėžutės, gali:

• per funkciją „pamiršau slaptažodį“ iš naujo nustatyti beveik visų kitų Jūsų paskyrų slaptažodžius;
• skaityti Jūsų paštą ir tiksliai tinkamu momentu išsiųsti netikrą sąskaitą faktūrą (1.2 pamoka);
• Jūsų vardu siųsti laiškus klientams, kurie Jumis pasitiki;
• nustatyti persiuntimo taisyklę, kad ir toliau nepastebimai gautų visų laiškų kopiją, net ir pakeitus slaptažodį (2.5 pamoka).

Bet kaip užpuolikas gauna Jūsų slaptažodį? Yra trys pagrindiniai būdai: Jūs patys jį įvedate netikroje svetainėje (sukčiavimas (phishing), 3 modulis), jis nutekėjo iš kitos paslaugos, kurioje jį taip pat naudojote, arba jį pavogia žalinga programinė įranga Jūsų kompiuteryje. Pastaruosius du aptarsime čia.

Credential stuffing: vienas pažeidimas, bandomas visur

Svetainės reguliariai nulaužiamos. Per tokį pažeidimą dažnai paviešinami naudotojų el. pašto adresai ir slaptažodžiai, kartais įskaitomu pavidalu, kartais tokia forma, kurią įmanoma atkurti skaičiavimo galia. Šie duomenys surenkami, sujungiami ir parduodami milžiniškuose el. pašto adresų su slaptažodžiais sąrašuose: combolist sąrašuose.

Turėdamas tokį sąrašą, užpuolikas atlieka credential stuffing: jis automatiškai bando kiekvieną el. pašto adreso ir slaptažodžio porą kitose paslaugose. OWASP, žinoma atvira žiniatinklio saugumo organizacija, tai apibūdina kaip automatizuotą pavogtų prisijungimo duomenų įvedimą siekiant gauti prieigą prie paskyrų. Tai veikia dėl vienos priežasties: žmonės naudoja tą patį slaptažodį keliose vietose.

Pavyzdys. Petra iš kepyklos „Example“ prieš kelerius metus susikūrė paskyrą kepimo reikmenų internetinėje parduotuvėje, naudodama info@example.com ir slaptažodį, kurį tuomet naudojo visur. Ta internetinė parduotuvė nulaužiama. Po metų jos duomenų pora atsiduria combolist sąraše. Programa per vieną naktį juos bando:

Petra nieko nepastebi: ji nematė jokio sukčiavimo laiško ir nieko nespaudė. Iš to seka pamokos: unikalus slaptažodis kiekvienai paslaugai sutrukdo vienam pažeidimui išplisti (2.1 ir 2.2 pamokos), o dviejų veiksnių autentifikavimas sustabdo užpuoliką, net jei šis turi teisingą slaptažodį (2.3 pamoka). Svetainėje https://haveibeenpwned.com galite pati (pats) pasitikrinti, ar Jūsų el. pašto adresas yra žinomame duomenų saugumo pažeidime.

Dažna klaida yra „sistema“ slaptažodžiams keisti: Bakkerij2025! paštui ir Bakkerij2025!boekhouding buhalterijai. Programos, naudojančios combolist sąrašus, bando ir tokius akivaizdžius variantus.

Infostealer: slaptažodis tiesiai iš Jūsų kompiuterio

Infostealer yra žalinga programinė įranga, kuri renka duomenis iš Jūsų kompiuterio ir siunčia juos užpuolikui. Microsoft aprašo, kad infostealer programos, be kita ko, iš naršyklių išgauna išsaugotus naudotojų vardus ir slaptažodžius, sesijos slapukus, automatiškai užpildytus formų duomenis ir mokėjimo kortelių duomenis. Tokią programą galite gauti, pavyzdžiui, per netikrą atsisiuntimą („nemokama brangios programos versija“), priedą, netikrą reklamą ar svetainę, kuri prašo nukopijuoti ir įklijuoti komandą, „kad būtų išspręsta problema“.

Infostealer dažnai veikia vos kelias minutes ir tada vėl dingsta. Grobis, vadinamas žurnalu (log) su visais to konkretaus kompiuterio duomenimis, parduodamas. Kartais jis panaudojamas tik po kelerių metų.

Kodėl sesijos slapukas toks pavojingas

Prisijungus prie svetainės su slaptažodžiu ir dviejų veiksnių autentifikavimu, Jūsų naršyklė gauna sesijos slapuką: nedidelę rinkmeną, kuri su kiekvienu kitu užklausimu parodo, kad Jūs jau esate prisijungę. Todėl Jums nereikia kiekvieną kartą iš naujo įvedinėti kodo.

Tas, kas pavagia šį slapuką, gali jį įdėti į savo naršyklę ir taip pat bus prisijungęs. Jam nereikia Jūsų slaptažodžio ar antrojo faktoriaus, nes prisijungimas jau įvyko. MITRE ATT&CK, vieša atakų technikų žinių bazė, tai teigia tiesiogine prasme: sesijos slapukai gali būti naudojami kai kurioms kelių veiksnių autentifikavimo formoms apeiti.

Kas padeda nuo infostealer programų ir pavogtų slapukų:

• nediegti programinės įrangos iš nežinomų šaltinių ir nedirbti su administratoriaus paskyra, kad diegimas nebūtų toks lengvas (5.2 pamoka);
• atnaujinti operacinę sistemą ir naršyklę (5.1 pamoka);
• po užkrėtimo pirmiausia išvalyti kompiuterį arba jį iš naujo įdiegti, tada iš švaraus įrenginio pakeisti slaptažodžius ir panaikinti visas sesijas, kad pavogti slapukai taptų negaliojantys (2.5 ir 3.5 pamokos);
• nuo sukčiavimo apsaugotus prisijungimo būdus, tokius kaip passkey, dėl kurių prisijungimo duomenų vogimas per netikras svetaines tampa neįmanomas (2.4 pamoka).

Kas yra duomenų saugumo pažeidimas

Iki šiol kalbėjome apie Jūsų pačios paskyras. Tačiau jei užpuolikas patenka į Jūsų pašto dėžutę, buhalteriją ar internetinę parduotuvę, jis taip pat mato kitų žmonių duomenis: klientų, darbuotojų, narių. Tai yra duomenų saugumo pažeidimas.

BDAR asmens duomenis apibrėžia kaip bet kokią informaciją apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti: vardą, el. pašto adresą, telefono numerį, adresą, taip pat kliento numerį, kurį galima susieti su konkrečiu asmeniu. Duomenų saugumo pažeidimas (BDAR terminija: asmens duomenų saugumo pažeidimas, 4 straipsnio 12 punktas) yra saugumo pažeidimas, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami persiųsti asmens duomenys arba prie jų suteikiama be leidimo prieiga.

Duomenų saugumo pažeidimas nebūtinai turi būti įsilaužimas. Tai taip pat gali būti duomenų saugumo pažeidimas:

• laiškas su klientų sąrašu, nusiųstas ne tam gavėjui;
• pavogtas ar pamestas neapsaugotas (nešifruotas) nešiojamasis kompiuteris;
• dalijimosi nuoroda į aplanką su gyvenimo aprašymais, kuri viešai prieinama internete;
• perimta pašto dėžutė, kurioje yra sąskaitos faktūros su vardais ir adresais;
• failai, kuriuos užšifravo išpirkos reikalaujanti programa ir kurių neturite atsarginės kopijos (sunaikinimas ir praradimas).

Su duomenų saugumo pažeidimu susijusios pareigos: kiekvieną duomenų saugumo pažeidimą registruojate duomenų saugumo pažeidimų registre, per 72 valandas apie jį pranešate Valstybinei duomenų apsaugos inspekcijai (VDAI), nebent jis tikriausiai nesukelia rizikos susijusiems asmenims, o esant didelei rizikai, apie tai informuojate ir pačius žmones. Kaip tai veikia tiksliai, sužinosite 8.2 pamokoje. Dabar svarbu, kad į paskyros perėmimą nežiūrėtumėte vien kaip į „mūsų problemą“: dažnai tai paveikia ir žmones, kurių duomenis turite.

Kas nutinka nutekėjusiems duomenims

Nutekėję duomenys niekur nedingsta. Jie kopijuojami, sujungiami ir perparduodami. Todėl pažeidimo pasekmės veikia ilgą laiką:

• Pakartotinis naudojimas: slaptažodžiai patenka į combolist sąrašus, skirtus credential stuffing.
• Geresnis sukčiavimas: turėdamas Jūsų vardą, Jūsų klientus ir paskutinį užsakymą, sukčius sukuria įtikinamą laišką. Klientas, kuris savaitę po Jūsų internetinės parduotuvės duomenų pažeidimo gauna Jūsų vardu siunčiamą „priminimą apie apmokėjimą“, sumoka greičiau.
• Tapatybės vagystė: turėdamas pakankamai duomenų apie asmenį, sukčius gali atidaryti paskyras arba apsimesti tuo asmeniu.
• Šantažas: „sumokėkite, arba papasakosime Jūsų klientams, kad jų duomenys nutekėjo iš Jūsų“ (1.3 pamoka).

Todėl mažesnis duomenų saugojimas taip pat yra saugumo priemonė. Duomenys, kurių neturite, negali ir nutekėti.

Santrauka

• Perėmus paskyrą, užpuolikas tiesiog prisijungia; pašto dėžutė yra svarbiausia paskyra, nes per ją galite atkurti kitus slaptažodžius.
• Credential stuffing automatiškai bando nutekėjusias el. pašto adreso ir slaptažodžio kombinacijas iš combolist sąrašų kitose paslaugose; unikalūs slaptažodžiai ir 2FA tai sustabdo.
• Infostealer programos vagia slaptažodžius ir sesijos slapukus iš naršyklės; pavogtu slapuku užpuolikas gali apeiti kai kurias 2FA formas, todėl po užkrėtimo panaikinkite visas sesijas.
• Duomenų saugumo pažeidimas yra bet koks asmens duomenų saugumo pažeidimas, įskaitant netinkamam gavėjui išsiųstą laišką ar pamestą nešiojamąjį kompiuterį.
• Nutekėję duomenys naudojami pakartotinai naujoms atakoms; mažiau saugomų duomenų reiškia mažesnę riziką.

Testas (quiz)

Užduotis

Užduotis A1.4: Vienas duomenų saugumo pažeidimas, kurioms paskyroms gresia pavojus? Jums pateikiama mažos įmonės paskyrų apžvalga: koks slaptažodis (žymimas W1, W2 ir taip toliau, niekada tikras slaptažodis) priklauso kuriai paslaugai ir ar įjungtas dviejų veiksnių autentifikavimas. Tada nutekina viena paslauga. Nurodykite, kurioms paskyroms iškart gresia pavojus, kokia tvarka jas tvarkysite ir ar tai yra duomenų saugumo pažeidimas. Programa patikrina ir paaiškina.

Skaitykite daugiau

Veiksmai WebOké straipsniuose galioja WebOké aplinkai; kitų paslaugų teikėjų atveju veikimas yra panašus.

• DirectAdmin vadovas 3.7: Saugūs slaptažodžiai ir ką daryti, jei slaptažodis nutekėjo
• WebOké vadovas 3.6: Aktyvių sesijų peržiūra ir atsijungimas
• Have I Been Pwned (pasitikrinkite, ar Jūsų el. pašto adresas yra žinomame duomenų saugumo pažeidime): https://haveibeenpwned.com
• OWASP, Credential stuffing (anglų k.): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (anglų k.): https://attack.mitre.org/techniques/T1539/
• BDAR (Reglamentas (ES) 2016/679), oficialus tekstas: https://eur-lex.europa.eu/eli/reg/2016/679/oj